[Brèves] Données personnelles sensibles : application de l’interdiction de traitement aux moteurs de recherche et mise en œuvre du droit au déréférencement

►L’interdiction de traiter certaines catégories de données personnelles sensibles s’applique également aux exploitants de moteurs de recherche ;

►Dans le cadre d’une demande de déréférencement, une mise en balance doit être effectuée entre les droits fondamentaux de la personne demandant le déréférencement et ceux des internautes potentiellement intéressés par ces informations.

Tels sont les enseignements d’un arrêt rendu par la CJUE le 24 septembre 2019 (CJUE, 24 septembre 2019, aff. C-136/17 N° Lexbase : A3916ZPQ).  

En l’espèce, plusieurs personnes ont agi, devant le Conseil d’Etat contre la CNIL concernant quatre décisions de celle-ci refusant de mettre en demeure Google de procéder à des déréférencements de divers liens inclus dans la liste de résultats affichée à la suite d’une recherche effectuée à partir de leurs noms. Le Conseil d’Etat (CE Ass., 24 février 2017, n° 391000, publié au recueil Lebon N° Lexbase : A2360TP4) a soumis à la Cour de justice plusieurs questions portant sur l’interprétation des règles de droit de l’Union relatives à la protection des données à caractère personnel (Directive 95/46/CE du 24 octobre 1995 N° Lexbase : L8240AUQ).

La Cour rappelle que l’exploitant d’un moteur de recherche, en tant que personne déterminant les finalités et les moyens de son activité doit assurer, dans le cadre de ses responsabilités, de ses compétences et de ses possibilités, que celle-ci satisfait aux exigences du droit de l’Union pour que les garanties prévues par celui-ci puissent développer leur plein effet et qu’une protection efficace et complète des personnes concernées, notamment de leur droit au respect de leur vie privée, puisse effectivement être réalisée. La Cour souligne ensuite que l’exploitant d’un moteur de recherche est responsable non pas du fait que des données à caractère personnel sensibles figurent sur une page internet publiée par un tiers, mais du référencement de cette page et, tout particulièrement, de l’affichage du lien vers celle-ci dans la liste des résultats présentée aux internautes à la suite d’une recherche. C’est en raison de ce référencement et, donc, par l’intermédiaire d’une vérification à effectuer, sous le contrôle des autorités nationales compétentes, sur la base d’une demande formée par la personne concernée que l’interdiction ou les restrictions s’appliquent à l’exploitant d’un moteur de recherche.

La Cour constate, ensuite, que si les droits de la personne prévalent en règle générale sur la liberté d’information des internautes, cet équilibre peut, toutefois, être remis en question selon la nature de l’information en question et de sa sensibilité pour la vie privée de la personne concernée et selon l’intérêt du public à disposer de cette information, qui peut notamment varier en fonction du rôle joué par cette personne dans la vie publique.

Ainsi, la Cour conclut que, lorsque l’exploitant d’un moteur de recherche est saisi d’une demande de déréférencement portant sur un lien vers une page internet sur laquelle des données sensibles sont publiées, il doit, sur la base de tous les éléments pertinents du cas d’espèce et compte tenu de la gravité de l’ingérence dans les droits fondamentaux de la personne concernée au respect de la vie privée et à la protection des données à caractère personnel, vérifier si l’inclusion de ce lien dans la liste de résultats, qui est affichée à la suite d’une recherche effectuée à partir du nom de cette personne, s’avère strictement nécessaire pour protéger la liberté d’information des internautes potentiellement intéressés à avoir accès à cette page internet au moyen d’une telle recherche.

Enfin, en ce qui concerne des pages internet contenant des données relatives à une procédure judiciaire en matière pénale menée contre une personne en particulier, qui se rapportent à une étape antérieure de cette procédure et ne correspondent plus à la situation actuelle, il appartient à l’exploitant du moteur de recherche d’apprécier si cette personne a droit à ce que les informations en question ne soient plus, au stade actuel, liées à son nom par une liste de résultats, affichée à la suite d’une recherche effectuée à partir de son nom. Afin d’apprécier ce droit, l’exploitant du moteur de recherche doit prendre en considération l’ensemble des circonstances de l’affaire, telles que, notamment, la nature et la gravité de l’infraction en question, le déroulement et l’issue de ladite procédure, le temps écoulé, le rôle joué par cette personne dans la vie publique et son comportement dans le passé, l’intérêt du public au moment de la demande, le contenu et la forme de la publication ainsi que les répercussions de celle-ci pour ladite personne.

La Cour précise encore que, quand bien même l’exploitant d’un moteur de recherche devrait constater que la personne concernée n’a pas le droit au déréférencement de tels liens, cet exploitant est, en tout état de cause, tenu, au plus tard à l’occasion de la demande de déréférencement, d’aménager la liste de résultats de telle sorte que l’image globale qui en résulte pour l’internaute reflète la situation judiciaire actuelle, ce qui nécessite notamment que des liens vers des pages internet comportant des informations à ce sujet apparaissent en premier lieu sur cette liste.

Dans un autre arrêt important rendu le même jour en matière de données personnelle et de déréférencement, la CJUE a notamment précisé que l’exploitant d’un moteur de recherche n’est pas tenu de procéder à un déréférencement sur l’ensemble des versions de son moteur de recherche (CJUE, 24 septembre 2019, aff. C-507/17 N° Lexbase : A3917ZPR ; lire N° Lexbase : N0511BYL).

© Reproduction interdite, sauf autorisation écrite préalable